ECDSA256算法JWT验证在temurin镜像中触发SignatureVerificationException

使用ECDSA256算法进行JWT令牌验证在openjdk:8-jdk-alpine Docker镜像中运行正常，但切换为eclipse-temurin:8-jdk-alpine基础镜像后，应用启动时出现JWT签名验证失败错误：

com.auth0.jwt.exceptions.SignatureVerificationException: The Token's Signature resulted invalid when verified using the Algorithm: SHA256withECDSA

核心差异在于两个镜像的Java加密体系（JCA）提供者实现及依赖环境不同：

• openjdk:8-jdk-alpine默认包含的SunEC加密提供者在Alpine环境下能正常加载底层依赖，完整支持ECDSA算法的签名验证。
• eclipse-temurin:8-jdk-alpine镜像默认的SunEC提供者在Alpine系统中存在底层加密库缺失的问题，或者对ECDSA签名的解析逻辑与OpenJDK存在细微差异，导致无法正确验证签名。

方法1：引入BouncyCastle加密提供者 #

BouncyCastle对ECDSA算法有完善且跨环境的支持，可替代默认提供者：

方式A：在Docker镜像中安装BouncyCastle并配置 #

修改Dockerfile，添加以下步骤：

# 安装curl用于下载依赖
RUN apk add --no-cache curl
# 下载BouncyCastle提供者jar包到JRE扩展目录
RUN curl -L -o /usr/lib/jvm/java-1.8-openjdk/jre/lib/ext/bcprov-jdk15on-1.70.jar https://repo1.maven.org/maven2/org/bouncycastle/bcprov-jdk15on/1.70/bcprov-jdk15on-1.70.jar
# 修改Java安全配置，将BouncyCastle设为优先提供者
RUN echo "security.provider.1=org.bouncycastle.jce.provider.BouncyCastleProvider" >> /usr/lib/jvm/java-1.8-openjdk/jre/lib/security/java.security
RUN echo "security.provider.2=sun.security.provider.Sun" >> /usr/lib/jvm/java-1.8-openjdk/jre/lib/security/java.security

方式B：通过应用依赖引入并注册 #

在项目的Maven/Gradle中添加BouncyCastle依赖：

Maven

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.70</version>
</dependency>

Gradle

implementation 'org.bouncycastle:bcprov-jdk15on:1.70'

然后在应用启动时注册提供者：

import org.bouncycastle.jce.provider.BouncyCastleProvider;
import java.security.Security;

// 在应用初始化时执行
static {
    Security.addProvider(new BouncyCastleProvider());
}

方法2：补充Alpine系统底层加密依赖 #

Temurin镜像可能缺少ECDSA所需的底层加密库，安装openssl包：

RUN apk add --no-cache openssl

方法3：验证公钥格式正确性 #

确保用于验证的EC公钥是标准PEM格式：

• 公钥必须以-----BEGIN PUBLIC KEY-----开头，-----END PUBLIC KEY-----结尾
• 公钥内容无多余换行、空格或特殊字符
• 解析公钥时指定正确的算法（如EC），示例代码：

import java.security.KeyFactory;
import java.security.PublicKey;
import java.security.spec.X509EncodedKeySpec;
import org.apache.commons.codec.binary.Base64;

// 解析PEM格式公钥
String publicKeyPem = "-----BEGIN PUBLIC KEY-----...-----END PUBLIC KEY-----";
publicKeyPem = publicKeyPem.replaceAll("-----BEGIN PUBLIC KEY-----", "")
                           .replaceAll("-----END PUBLIC KEY-----", "")
                           .replaceAll("\\s+", "");
byte[] publicKeyBytes = Base64.decodeBase64(publicKeyPem);
KeyFactory keyFactory = KeyFactory.getInstance("EC");
PublicKey publicKey = keyFactory.generatePublic(new X509EncodedKeySpec(publicKeyBytes));

内容的提问来源于stack exchange，提问作者anujprashar